[發明專利]一種基于可信操作系統的應用隔離方法及系統

有效

• 申請號: 202010550458.X
• 申請日: 2020-06-16
• 公開（公告）號: CN111709023B
• 公開（公告）日: 2023-04-28
• 發明（設計）人: 王志皓;趙保華;高昆侖;梁瀟;安寧鈺;任春卉;王樹才
• 申請（專利權）人: 全球能源互聯網研究院有限公司;國家電網有限公司;國網山東省電力公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/57
• 代理公司: 北京三聚陽光知識產權代理有限公司 11250
• 代理人: 胡曉靜

1.一種基于可信操作系統的應用隔離方法，其特征在于，包括：

獲取各應用進程的運行需求；

根據所述運行需求將操作系統的內核資源的存儲空間劃分為公共資源域和多個私有的應用業務域，所述應用業務域與所述應用進程一一對應，每個應用業務域包括所述應用進程及所述應用進程運行所需的程序文件、數據文件和配置文件；

根據預設訪問策略建立各所述應用業務域之間的訪問關系；

根據預設容器配置策略建立各所述應用業務域的容器模板；

建立所述預設訪問策略，包括：

獲取待執行業務的業務需求；

根據所述業務需求確定所述待執行業務需要執行的各所述應用進程及各所述應用進程對應的應用業務域之間的訪問需求；

根據所述訪問需求生成所述預設訪問策略；

建立所述預設容器配置策略，包括：

獲取待執行業務的業務需求；

根據所述業務需求確定所述待執行業務需要執行的各所述應用進程，及各所述應用進程對應的應用業務域之間的運行關系；

根據所述運行關系生成所述預設容器配置策略；

根據各應用進程對應的應用業務域之間的運行關系，可信計算內核的容器配置模塊將功能相同的業務應用域配置在同一容器模板中。

2.根據權利要求1所述的基于可信操作系統的應用隔離方法，其特征在于，還包括：

監測各所述應用業務域之間的訪問關系狀態和/或容器配置狀態；

當所述訪問關系狀態和/或所述容器配置狀態發生變化時，生成狀態變化結果。

3.根據權利要求2所述的基于可信操作系統的應用隔離方法，其特征在于，還包括：

將所述訪問關系狀態與預設應用隔離基準進行比較，和/或將所述容器配置狀態與預設容器配置基準進行比較，生成比較結果。

4.根據權利要求3所述的基于可信操作系統的應用隔離方法，其特征在于，還包括：

根據所述比較結果調整所述預設訪問策略和/或所述預設容器配置策略。

5.根據權利要求3所述的基于可信操作系統的應用隔離方法，其特征在于，還包括：

根據所述比較結果取消各所述應用業務域之間的訪問關系和/或各所述應用業務域的容器配置。

6.一種基于可信操作系統的應用隔離系統，其特征在于，包括：

獲取模塊，用于獲取各應用進程的運行需求；

空間劃分模塊，用于根據所述運行需求將操作系統的內核資源的存儲空間劃分為公共資源域和多個私有的應用業務域，所述應用業務域與所述應用進程一一對應，每個應用業務域包括所述應用進程及所述應用進程運行所需的程序文件、數據文件和配置文件；

第一配置模塊，用于根據預設訪問策略建立各所述應用業務域之間的訪問關系；

第二配置模塊，用于根據預設容器配置策略建立各所述應用業務域的容器模板；

建立所述預設訪問策略，包括：

獲取待執行業務的業務需求；

根據所述業務需求確定所述待執行業務需要執行的各所述應用進程及各所述應用進程對應的應用業務域之間的訪問需求；

根據所述訪問需求生成所述預設訪問策略；

建立所述預設容器配置策略，包括：

獲取待執行業務的業務需求；

根據所述業務需求確定所述待執行業務需要執行的各所述應用進程，及各所述應用進程對應的應用業務域之間的運行關系；

根據所述運行關系生成所述預設容器配置策略；

根據各應用進程對應的應用業務域之間的運行關系，可信計算內核的容器配置模塊將功能相同的業務應用域配置在同一容器模板中。

7.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲有計算機指令，所述計算機指令用于使所述計算機執行如權利要求1-5任一所述的基于可信操作系統的應用隔離方法。

8.一種計算機設備，其特征在于，包括：存儲器和處理器，所述存儲器和所述處理器之間互相通信連接，所述存儲器存儲有計算機指令，所述處理器通過執行所述計算機指令，從而執行如權利要求1-5任一所述的基于可信操作系統的應用隔離方法。